Qué es una clave de API
Una clave de API es la credencial con la que un programa demuestra quién es ante el servicio de IA. Quien la tiene, gasta a tu nombre: por qué es un secreto y qué hacer si se filtra.
3 min de lectura · Datos comprobados el 20/9/2026
Qué es
Una clave de API es una credencial: una especie de contraseña de máquina que identifica a tu programa ante el servicio de IA. Cuando tu sistema se conecta por la API de un proveedor, primero presenta la clave.
La genera el dueño de la cuenta en el panel del proveedor: con ella, el proveedor sabe a quién cargarle el consumo. De ahí la regla: quien tiene la clave, gasta a tu nombre.
Explicado fácil
Piensa en la llave de la bodega: se la das a quien necesita entrar, sabes quién la tiene y, cuando deja de necesitarla, la pides de vuelta o cambias la chapa.
La clave de API funciona igual, con una diferencia: copiarla es gratis y no se nota. Por eso el manejo es más estricto.
Ejemplo práctico
Una clínica dental conecta sus recordatorios: un sistema avisa por WhatsApp a cada paciente del día siguiente. La persona a cargo monta la conexión con un agente y genera la clave en el panel; el agente la guarda en el gestor de secretos del servidor, con los permisos necesarios, nunca en el código que recibe el navegador o la app.
Un lunes, la recepcionista reenvía un correo de soporte con la clave pegada. Aunque esa vez no pase nada, la clave ya salió de su lugar, y eso se trata como robo: se revoca, se revisa el consumo y se configura la nueva, comprobando que funcione.
Así no
Pegar la clave en un correo, un chat o un documento compartido «solo por esta vez».
Así sí
Generarla en el panel, guardarla en el gestor de secretos del servidor y revocarla en cuanto dudes de dónde está.
Una clave expuesta se trata como robada, aunque no sepas que la usaron.
Por qué te importa
Porque es el punto donde la seguridad y el dinero se juntan. La clave autoriza consumo a tu nombre: si se filtra, otro puede usar el servicio con tu cuenta y tu presupuesto. Los proveedores suelen permitir varias claves con nombre —una por sistema—, ver su consumo y revocarlas; los detalles, en su documentación.
El error típico
El clásico: tratarla como un dato más del proyecto, pegada en el chat para que «la IA ayude con la integración», en el correo al diseñador, en el repositorio compartido. Ninguno de esos lugares es su lugar. El segundo: no reaccionar. Una clave que salió de su lugar se revoca de inmediato y se revisa el consumo; la nueva se configura y se comprueba que funcione.
No lo confundas con
El token de texto. El token mide lo que se lee y se escribe; la clave autoriza el acceso. Se parece al token de acceso: ambos son credenciales, pero no siempre iguales; permisos y vencimiento dependen del servicio. La comparación, en Token de texto y token de acceso.
La contraseña de tu cuenta. La contraseña la escribe una persona; la clave la presenta un programa. Viven separadas: cada sistema con su clave, revocable sin tocar tu cuenta.
Relacionados
Token de texto y token de acceso · API · Tope de gasto · Límite de uso